Yanlış Yönetim Modu Seçimi Neden Pahalıya Mal Olabilir? · MDMWiki

Bir MDM projesinde en pahalı hata, yanlış ürünü seçmek değildir. En pahalı hata, cihazları yanlış yönetim moduyla ya da yanlış kayıt yöntemiyle sahaya çıkarmak ve bunu aylar sonra fark etmektir. Çünkü ürün değiştirmek bir sözleşme meselesidir; yönetim modunu değiştirmek ise çoğu durumda cihazı tek tek geri toplamak, sıfırlamak, yeniden kurmak ve kullanıcıya yeniden teslim etmek demektir.

Bu rehber, hangi değişikliklerin cihazın sıfırlanmasını gerektirdiğini platform platform açıklar, bunun operasyonel maliyetini somutlaştırır ve kararı baştan doğru vermek için bir plan sunar.

Neden bazı değişiklikler sıfırlama gerektirir?

Sebep teknik ve basittir: en güçlü yönetim modları, işletim sistemine cihazın ilk kurulumunda bağlanır.

Android’de tam yönetilen (fully managed) ve özel amaçlı (dedicated) cihazlar, yönetim uygulamasının “cihaz sahibi” (device owner) olarak kurulmasını gerektirir. Google’ın sağlama belgelerine göre QR kodu, DPC tanımlayıcısı ve oturum açma URL’si yöntemlerinin tamamı yeni ya da fabrika ayarlarına sıfırlanmış bir cihazda, kurulum sihirbazı aşamasında çalışır; zero-touch ise cihazın ilk açılışında devreye girer. Kurulumu tamamlanmış bir cihaza sonradan cihaz sahibi atanamaz.
Apple’da denetim (supervision), Automated Device Enrollment ile kaydedilen cihazlara otomatik olarak verilir ve bu kayıt Setup Assistant sırasında gerçekleşir. Apple Configurator ile manuel denetim de cihazı siler. Yani kullanılmakta olan, denetimsiz bir iPhone’u silmeden denetimli hale getirmenin standart bir yolu yoktur.
Windows’ta durum daha esnektir: MDM kaydı çalışan bir sisteme sonradan eklenebilir. Ancak Windows Autopilot, cihazı kutudan çıktığı haliyle kuruluşa hazırlayan bir ilk kurulum (OOBE) deneyimidir; mevcut bir cihazı Autopilot akışından geçirmek için sıfırlamak gerekir. Microsoft ayrıca bir cihazın aynı anda yalnızca tek bir MDM sunucusuna kayıtlı olabileceğini belirtir.

Kısacası: mod ne kadar güçlüyse, ona girmenin kapısı o kadar erkendir ve o kapı kapandıktan sonra tek yol cihazı başa sarmaktır.

Android: hangi geçiş ne gerektirir?

Android Enterprise dört çözüm kümesi tanımlar: kişisel cihazda work profile, kuruluşa ait cihazda work profile, tam yönetilen cihaz ve özel amaçlı cihaz. Aşağıdaki tablo en sık karşılaşılan geçişleri özetler.

Mevcut durum	Hedef	Sıfırlama gerekir mi?	Not
Yönetilmeyen cihaz	Kişisel cihazda work profile	Hayır	Kullanıcı Ayarlar üzerinden ya da yönetim uygulamasıyla ekler; kişisel veri korunur.
Yönetilmeyen (kurulu) cihaz	Tam yönetilen	Evet	Cihaz sahibi yalnızca kurulum sihirbazında atanabilir.
Yönetilmeyen (kurulu) cihaz	Kuruluşa ait cihazda work profile (COPE)	Evet	Android 11+’da bu mod, work profile’ın kurulum sihirbazından eklenmesiyle tanınır; aksi halde cihaz kişisel sayılır.
Kişisel cihazda work profile	Tam yönetilen ya da COPE	Evet	Work profile silinir, cihaz sıfırlanır, yeniden sağlanır.
Tam yönetilen	Work profile (herhangi biri)	Evet	Cihaz sahipliği kaldırılamaz; sıfırlama gerekir.
Tam yönetilen	Özel amaçlı (dedicated)	Genellikle hayır	Dedicated, tam yönetilen cihazın bir alt kümesidir; aynı DPC kilitli görev (lock task) politikası uygulayabilir. Ancak bazı MDM ürünleri bu iki modu ayrı kayıt türü olarak ele alır; ürüne bağlıdır.
Eski device admin	Work profile	Hayır	Google’ın önerdiği geçiş yollarından biri; kişisel veri korunur.
Eski device admin	Tam yönetilen	Evet	Cihaz sahibi için sıfırlama şarttır.
MDM A (tam yönetilen)	MDM B (tam yönetilen)	Çoğunlukla evet	Android 9+ bir sahiplik aktarım API’si sunar, fakat her iki ürünün de bunu desteklemesi gerekir. Planlamada sıfırlama varsayın.
MDM A (work profile)	MDM B (work profile)	Hayır	Profil kaldırılır, yeni profil eklenir; yalnızca iş verisi yeniden kurulur.

Dedicated (kiosk) senaryosunu biraz daha açmak gerekir, çünkü en sık yanlış planlanan mod budur. Google belgelerine göre özel amaçlı cihazlar tam yönetilen cihazların bir alt kümesidir: kilitli görev modu, çoklu kullanıcı yönetimi ve sistem güncellemesini dondurma gibi API’ler yalnızca cihazın yöneticisi olan bir uygulamaya açıktır. Bu nedenle bir cihaz work profile ile kaydedildiyse kiosk moduna “yükseltilemez”; sıfırlanıp tam yönetilen olarak yeniden kurulmalıdır.

Android Management API kullanan bir MDM’de bu fark politika düzeyinde de görünür. Aşağıdaki politika parçası bir uygulamayı kiosk olarak kurar; bu yalnızca tam yönetilen/özel amaçlı bir cihazda anlam taşır:

{
  "applications": [
    {
      "packageName": "com.example.fieldapp",
      "installType": "KIOSK",
      "defaultPermissionPolicy": "GRANT"
    }
  ],
  "kioskCustomization": {
    "powerButtonActions": "POWER_BUTTON_AVAILABLE",
    "statusBar": "NOTIFICATIONS_AND_SYSTEM_INFO_DISABLED"
  }
}

Aynı politikayı kişisel cihazdaki bir work profile’a göndermenin bir karşılığı yoktur; çünkü profil yöneticisi, cihazın tamamını kilitleyemez.

Apple: denetim kararı geri alınamaz, yalnızca sıfırlanır

Apple tarafında belirleyici kavram denetim (supervision) ve bununla bağlantılı olarak kayıt türüdür.

Mevcut durum	Hedef	Sıfırlama gerekir mi?	Not
Yönetilmeyen (kurulu) iPhone/iPad	Denetimsiz Device Enrollment	Hayır	Kullanıcı ya da yönetici bir yönetim profili yükler; kullanıcı profili kaldırabilir.
Yönetilmeyen (kurulu) iPhone/iPad	Denetimli (ADE ile)	Evet	Cihaz Apple Business Manager’da olmalı; ADE kaydı yalnızca Setup Assistant sırasında yapılır.
Yönetilmeyen (kurulu) iPhone/iPad	Denetimli (Apple Configurator ile)	Evet	Apple belgesi açıkça belirtir: bu süreçte cihaz silinir ve tüm veri kaybolur.
Denetimsiz Device Enrollment	ADE ile denetimli	Evet	Yukarıdaki gibi; mevcut kayıt kaldırılır, cihaz silinir, ADE ile yeniden kurulur.
User Enrollment (BYOD)	Device Enrollment	Kayıt değişir, silme gerekmez	Kullanıcı kaydı kaldırılır, cihaz kaydı yapılır. Kullanıcının kişisel verisi etkilenmez; kuruluş verisi yeniden kurulur.
MDM A (ADE, denetimli)	MDM B (ADE, denetimli)	Evet	Apple Business Manager’da cihaz yeni MDM sunucusuna atanır; yeni ADE kaydı için cihaz silinir.
MDM A (Device Enrollment)	MDM B (Device Enrollment)	Hayır	Profil kaldırılır, yeni profil kurulur; denetim durumu değişmez.
Mac (macOS 11+)	Denetimli	Genellikle hayır	Apple belgelerine göre Mac, hesap tabanlı ya da profil tabanlı Device Enrollment ile ya da yerel yönetici onayıyla denetimli hale gelebilir; MDM’ler arası geçiş silmeden yapılabilir.

Buradaki pratik sonuç şudur: Bir iPhone ya da iPad filosunu denetimsiz olarak dağıtıp sonradan “şu kısıtı da uygulayalım” dediğinizde, o kısıt yalnızca denetimli cihazlarda çalışıyorsa, tek yol cihazları toplayıp silmektir. Apple’ın en güçlü kısıtlarının büyük kısmı denetim gerektirir; bu yüzden kuruluşa ait Apple cihazlarda varsayılan karar, satın alma kanalından itibaren Apple Business Manager’a kaydettirmek ve ADE ile dağıtmak olmalıdır.

Windows: esnek ama sınırsız değil

Windows’ta yönetim modu değişiklikleri çoğunlukla sıfırlama gerektirmez; bu, platformun kurumsal yönetim geçmişinden gelir. Yine de bazı geçişler hiç de ucuz değildir.

Mevcut durum	Hedef	Sıfırlama gerekir mi?	Not
Yönetilmeyen (kurulu) PC	MDM kaydı	Hayır	Kullanıcı ya da yönetici cihazı kaydeder; CSP politikaları uygulanmaya başlar.
Mevcut PC	Autopilot ile yeniden dağıtım	Evet (OOBE)	Autopilot ilk kurulum deneyimidir; mevcut cihaz için Windows Autopilot Reset ya da yeniden kurulum gerekir.
MDM A	MDM B	Kayıt değişir, silme gerekmez	Yalnızca tek MDM kaydına izin verilir; A’dan çıkış ve B’ye kayıt gerekir. Politikalar, sertifikalar ve uygulamalar yeniden gelir.
Yerel hesap / çalışma grubu	Microsoft Entra katılımı	Çoğunlukla yeni kullanıcı profili	Teknik olarak silme gerekmez ama kullanıcı profili ve veri taşıma işi doğar; büyük filolarda pratikte yeniden kurulumla eşdeğer.
Etki alanı (AD) katılımı	Yalnızca Entra katılımı	Çoğunlukla yeniden kurulum/Autopilot	Hibrit katılım ara adımı mümkündür; doğrudan geçişler kullanıcı profili sıfırlama anlamına gelebilir.

Windows’ta asıl maliyet sıfırlama değil, kimlik kararıdır: Entra, hibrit ya da yalnızca yerel etki alanı seçimi, uygulamaların oturum açma yöntemini, Conditional Access’i ve Autopilot profilini belirler. Bu karar sonradan değiştiğinde her cihaz için kullanıcıya dokunan bir iş çıkar.

Operasyonel maliyet: bir cihazı başa sarmak ne demek?

“Fabrika ayarlarına sıfırla” iki saniyede söylenir. Sahada karşılığı aşağıdaki adımlardır:

Cihazın kullanıcıdan ya da sahadan fiziksel olarak geri alınması (kargo, ziyaret ya da kullanıcıya yaptırma ve destek).
Cihazdaki yerel verinin yedeklenmesi: fotoğraflar, form taslakları, çevrimdışı önbellekler, kimlik doğrulayıcı uygulamalar.
Hesap kilitlerinin çözülmesi: Android’de fabrika ayarları koruması (FRP), Apple’da Etkinleştirme Kilidi; doğru kapatılmazsa cihaz kullanılamaz hale gelir.
Sıfırlama ve yeni modla yeniden sağlama (QR, zero-touch, ADE, Autopilot).
Uygulamaların, sertifikaların, Wi‑Fi/VPN profillerinin yeniden inmesi ve doğrulanması.
Kullanıcıya yeniden teslim, yeni oturum açma, çok faktörlü doğrulama kayıtlarının yenilenmesi.
Her adımın kayıt altına alınması ve istisnaların takibi.

Cihaz başına bu sürecin saatlerle ölçülen bir iş gücü, günlerle ölçülen bir kesinti ve bazen kargo/yedek cihaz maliyeti yarattığını kabul edin. Yüz cihazlık bir filoda yanlış mod kararı, kolayca haftalarca süren bir projeye dönüşür. Buna karşılık doğru mod kararı bir toplantı ve bir pilot kadar ucuzdur.

Önleyici planlama: kararı baştan doğru vermek

1. Senaryo başına tek bir mod yazın

Her cihaz grubu için şu cümleyi doldurun: “Bu cihazlar [kuruluşa/kullanıcıya] aittir, [yalnızca iş / iş + kişisel / tek amaçlı] kullanılır, [Android/Apple/Windows] platformunda [mod] ile [kayıt yöntemi] kullanılarak yönetilir.” Cümleyi dolduramıyorsanız karar henüz verilmemiştir.

2. Gelecekteki ihtiyacı bugünden moda yansıtın

Bugün “sadece e‑posta” isteyen bir saha ekibi, altı ay sonra kiosk isteyebilir. Kuruluşa ait Android cihazlar için varsayılan olarak tam yönetilen ya da COPE modunu, Apple için ADE ile denetimli kaydı seçmek, sonradan açılabilecek kapıları açık tutar. Kişisel cihazlarda ise tersi geçerlidir: work profile ya da User Enrollment dışındaki beklentileri baştan reddedin.

3. Satın alma kanalını plana dahil edin

Zero-touch, Knox Mobile Enrollment ve Apple Business Manager kayıtları çoğunlukla yetkili satıcı üzerinden yapılır. Cihazlar bu kanallardan alınmazsa otomatik kayıt mümkün olmayabilir ve her cihaz elle kurulur. Donanım siparişinden önce bu sorunun cevabı net olmalıdır.

4. Pilotu gerçek cihaz modeliyle ve gerçek modla yapın

Pilotta farklı bir modeli, farklı bir işletim sistemi sürümünü ya da “geçici olarak” farklı bir modu kullanmak, pilotun bulması gereken sorunları gizler. Pilot, üretimle aynı cihaz, aynı kayıt yöntemi ve aynı politika setiyle yapılmalıdır.

5. Geri alma maliyetini karar belgesine yazın

Karar belgesinde şu satır bulunmalıdır: “Bu moddan çıkmak cihazın sıfırlanmasını gerektirir / gerektirmez.” Bu tek cümle, kararı veren herkesin bedelini anlamasını sağlar.

6. Hesap kilitlerini ve yedekleme planını önceden belgeleyin

FRP ve Etkinleştirme Kilidi için prosedür, sıfırlama ihtiyacı doğmadan önce yazılmalıdır. Ayrıca yerel verinin nerede birikebileceği (fotoğraf, çevrimdışı formlar) bilinmeli ve mümkünse uygulama tarafında sunucuya senkronizasyon zorunlu kılınmalıdır.

Özet

En güçlü yönetim modları (Android tam yönetilen/dedicated, Apple denetimli/ADE, Windows Autopilot) cihazın ilk kurulumuna bağlıdır; sonradan eklenemez.
Hafif modlara giriş (Android work profile, Apple Device Enrollment ve User Enrollment, Windows MDM kaydı) sıfırlama gerektirmez; ancak bu modlardan güçlü modlara geçiş çoğunlukla sıfırlama demektir.
Aynı mod içinde MDM ürünü değiştirmek bazen yalnızca yeniden kayıt, bazen sıfırlama gerektirir; platform ve mod tabloları buna göre okunmalıdır.
Sıfırlamanın maliyeti cihaz başına saatler ve filo başına haftalardır; doğru karar bir toplantı ve bir pilot kadar ucuzdur.

Henüz mod kararını vermediyseniz, önce Gerçekten MDM’e ihtiyacınız var mı? rehberindeki karar çerçevesinden geçin; kavramlar yeniyse MDM nedir? ile başlayın.